在 composer.json 中通过 repositories 数组添加多个仓库，顺序决定查找优先级，需指定 type（如 composer/vcs）和合法 url；私有 VCS 须含正确 name 的 composer.json；镜像源应置前以提升性能；Composer 7+ 需配置 allow-plugins 白名单。
composer.json 里怎么加多个仓库地址
Composer 默认只认 packagist.org，要装私有包或镜像源，得手动在 composer.json 里加 repositories 字段。它是个数组，每个元素是一个仓库配置对象，顺序很重要——Composer 会从左到右找包，找到就停，不会继续往后查。
- 必须用
type指明仓库类型："vcs"（Git/SVN）、"package"（单个离线包）、"composer"（支持 Composer 协议的源，比如私有 Packagist 或腾讯云、阿里云镜像） -
url值不能带 trailing slash，否则某些版本会报Invalid repository url - 如果同时配了
packagist.org和私有源，记得把"packagist.org": false加进repositories顶部，否则它默认还在，可能绕过你的私有源
示例：
{
"repositories": [
{
"packagist.org": false
},
{
"type": "composer",
"url": "https://mirrors.tencent.com/composer/"
},
{
"type": "vcs",
"url": "https://git.example.com/my/private-lib"
}
]
}
为什么 private repo 配了还是找不到包
常见原因是 Composer 没法自动发现你 VCS 仓库里的包名和版本——它不像 Packagist 那样有元数据索引。如果你的 Git 仓库根目录下没有 composer.json，或者里面 name 字段写错了（比如写成 mylib 而不是 vendor/mylib），composer require vendor/mylib 就会报 Could not find package vendor/mylib。
- VCS 仓库必须有合法的
composer.json，且name必须含/（即符合vendor/name格式） - 分支名会被当作版本别名，但
dev-前缀会被自动忽略；打 tag 的话，tag 名必须是语义化版本（如v1.2.0或1.2.0），否则识别为dev-master - 运行
composer clear-cache再composer update --dry-run看是否列出该包，能快速验证发现逻辑是否生效
使用 composer config 命令临时加仓库的风险
composer config -g repositories.foo composer https://example.com 这种全局配置看起来方便，但实际项目中容易出问题：它会写进 COMPOSER_HOME/config.json（通常是 ~/.composer/config.json），影响所有项目，而且无法按项目开关。
- CI/CD 流水线里如果用了全局 config，不同项目可能互相污染，尤其当多个项目依赖同名但不同源的包时
- 团队协作时，这种配置不会进 Git，新人 clone 后直接
composer install就失败 - 推荐只用
composer.json里的repositories，或者用composer config repositories.foo ...（不加-g）写入当前项目composer.json
镜像源 + 私有源混用时的性能与 fallback 行为
Composer 不会并发查多个源，它是串行扫描 repositories 数组。如果第一个是慢速私有 Git 仓库，而你要装的是一个公共包（比如 monolog/monolog），它会先尝试去私有 Git 里找，超时后才往下走——这会让 composer update 变得很慢。
- 把响应快的源（如国内镜像）放前面，私有 VCS 放后面
- 对纯公共包需求，可以临时删掉私有仓库配置，或用
--repository-url指定单一源来跳过扫描 - 注意：即使你只
require一个私有包，Composer 仍会对整个依赖树做全量解析，所以所有仓库都可能被访问到
最易被忽略的一点：Composer 7+ 开始默认启用 allow-plugins 白名单机制，如果某个私有源的包带自定义 installer 插件，而你没在 composer.json 里显式允许，安装会静默失败或卡住——得检查 plugin-api-version 兼容性，并确认插件已列入 allow-plugins。
